Le problème est aggravé par le fait que la plupart des solutions de sécurité de messagerie n’ont pas la capacité de supprimer les entrées malveillantes déjà créées dans les calendriers. Le message d’origine peut être supprimé, mais le planning reste actif.

Dans Microsoft 365, la situation est particulièrement critique, car la plateforme transfère automatiquement les pièces jointes des e-mails vers l’événement du calendrier. Cela signifie qu’une pièce jointe dangereuse, telle qu’un PDF ou un HTML malveillant, migre du message bloqué vers le carnet d’adresses sans subir d’analyse de sécurité supplémentaire.

Stratégies d’abus de confiance et instructions contradictoires

L’une des attaques identifiées montre comment les criminels utilisent des services légitimes pour donner de la crédibilité à l’arnaque. Dans ce cas, FreeConferenceCall.com, véritable plateforme de réunions virtuelles, a été utilisé pour planifier une conférence téléphonique.

• Le fraudeur planifie une réunion légitime sur le service, qui génère l’invitation standard avec les données d’accès.
• Dans le corps de l’e-mail, une “instruction contradictoire” est insérée : un message qui demande à la victime d’ignorer les données automatiques et d’appeler un numéro de téléphone alternatif, contrôlé par le criminel.
• Le fichier d’invitation au calendrier .ics est généré avec les informations malveillantes, garantissant que le faux numéro atteint le calendrier de la victime.
• La victime, après avoir assisté à l’événement officiel quelques jours plus tard, appelle le numéro ettombe directement dans le hameçonnage vocal.

Attaques par code QR et kit de phishing professionnel

D’autres tactiques révèlent l’investissement en professionnalisme de la part des attaquants. Une attaque minimaliste utilise un e-mail presque vide, contenant simplement un PDF joint avec un code QR de vol d’informations d’identification.

Le PDF prétend être un document Docusign et demande à la victime de scanner le code QR avec son téléphone portable pour « vérifier votre document » ou « signer le contrat en attente ». La pièce jointe étant transférée vers l’événement du calendrier, la victime peut y accéder directement depuis son calendrier, des mois après la suppression de l’e-mail d’origine. L’utilisation des codes QR est stratégique, car de nombreux systèmes de sécurité n’analysent pas leur contenu et une action sur un téléphone portable peut contourner les protections de l’entreprise.

Un troisième exemple démontre une grande sophistication. Le faux événement utilise non seulement des déclencheurs psychologiques tels que l’urgence et la peur de perdre (“Votre domaine company.com.br expire dans 48 heures”), mais bloque également la semaine entière dans le calendrier de la victime sous le titre “INTERRUPTION DE SERVICE”. Pour accroître la crédibilité, la liste des participants à l’événement comprend des invités fictifs portant des noms génériques tels que « Administrateur » et « Support informatique », simulant l’implication d’autres secteurs de l’entreprise.

La charge malveillante de cette attaque est un fichier HTML joint qui, une fois ouvert, exécute un kit de phishing complet localement sur l’ordinateur de la victime, créant une fausse page Microsoft Domain Services dans le répertoire temporaire, ce qui rend la détection plus difficile pour les filtres réseau.

Mesures d’atténuation pour protéger les comptes d’entreprise

Il est essentiel que les entreprises et les utilisateurs vérifient les paramètres de sécurité de leurs comptes. Vous pouvez configurer Google Workspace et Microsoft 365 pour bloquer les invitations automatiques, exigeant une confirmation de l’utilisateur avant de créer l’événement de calendrier.

Ce simple changement de configuration constitue le moyen le plus efficace d’atténuer le risque de phishing ICS, en garantissant que l’événement malveillant ne se matérialise pas dans l’agenda même si l’e-mail n’est pas complètement intercepté par la passerelle de sécurité. La sensibilisation des employés à la nature de l’attaque est un complément crucial.

La faille de sécurité exploitée dans ICS

Le succès du phishing via les invitations de calendrier est dû à l’aveuglement des systèmes de défense par rapport au backend des plateformes de productivité. Les criminels ont exploité une faille dont la plupart des entreprises ignoraient l’existence, transformant un outil de productivité en un vecteur d’attaque persistant et difficile à supprimer. Il est urgent d’adopter de nouvelles stratégies de cybersécurité qui surveillent activement les services de calendrier pour neutraliser cette menace en évolution.

Une nouvelle technique d’attaque numérique sophistiquée permet aux criminels d’insérer de faux rendez-vous, remplis de liens et de pièces jointes malveillants, directement dans les calendriers des utilisateurs de Google Workspace et de Microsoft 365. La tactique, appelée ICS phishing, exploite la fonctionnalité de planification automatique des événements par courrier électronique, parvenant ainsi à contourner les barrières de sécurité qui bloquent normalement les messages suspects dans la boîte de réception.

Le mécanisme de défense du courrier électronique peut même identifier le message malveillant et l’envoyer en quarantaine, mais l’événement du calendrier avec tout le contenu frauduleux a déjà été créé et reste dans le calendrier de la victime. Cette faille de sécurité représente un bond en avant dans la sophistication des attaques, se concentrant sur un domaine – le calendrier – que les solutions de sécurité et les passerelles traditionnelles basées sur des API ne peuvent pas surveiller ou corriger efficacement une fois l’événement créé.

Comment fonctionne l’arnaque : de la boîte de réception au calendrier

La vulnérabilité réside dans la façon dont Google et Microsoft traitent le format .ics

(Internet Calendar Scheduling), le standard pour les invitations de calendrier. Lors de la réception d’un e-mail avec ce fichier en pièce jointe, les deux plateformes créent automatiquement l’événement dans le calendrier, sans nécessiter aucune confirmation ni clic de la part de l’utilisateur, une fonctionnalité conçue pour faciliter la routine de l’entreprise.

Le problème est aggravé par le fait que la plupart des solutions de sécurité de messagerie n’ont pas la capacité de supprimer les entrées malveillantes déjà créées dans les calendriers. Le message d’origine peut être supprimé, mais le planning reste actif.

Dans Microsoft 365, la situation est particulièrement critique, car la plateforme transfère automatiquement les pièces jointes des e-mails vers l’événement du calendrier. Cela signifie qu’une pièce jointe dangereuse, telle qu’un PDF ou un HTML malveillant, migre du message bloqué vers le carnet d’adresses sans subir d’analyse de sécurité supplémentaire.

Stratégies d’abus de confiance et instructions contradictoires

L’une des attaques identifiées montre comment les criminels utilisent des services légitimes pour donner de la crédibilité à l’arnaque. Dans ce cas, FreeConferenceCall.com, véritable plateforme de réunions virtuelles, a été utilisé pour planifier une conférence téléphonique.

• Le fraudeur planifie une réunion légitime sur le service, qui génère l’invitation standard avec les données d’accès.
• Dans le corps de l’e-mail, une “instruction contradictoire” est insérée : un message qui demande à la victime d’ignorer les données automatiques et d’appeler un numéro de téléphone alternatif, contrôlé par le criminel.
• Le fichier d’invitation au calendrier .ics est généré avec les informations malveillantes, garantissant que le faux numéro atteint le calendrier de la victime.
• La victime, après avoir assisté à l’événement officiel quelques jours plus tard, appelle le numéro ettombe directement dans le hameçonnage vocal.

Attaques par code QR et kit de phishing professionnel

D’autres tactiques révèlent l’investissement en professionnalisme de la part des attaquants. Une attaque minimaliste utilise un e-mail presque vide, contenant simplement un PDF joint avec un code QR de vol d’informations d’identification.

Le PDF prétend être un document Docusign et demande à la victime de scanner le code QR avec son téléphone portable pour « vérifier votre document » ou « signer le contrat en attente ». La pièce jointe étant transférée vers l’événement du calendrier, la victime peut y accéder directement depuis son calendrier, des mois après la suppression de l’e-mail d’origine. L’utilisation des codes QR est stratégique, car de nombreux systèmes de sécurité n’analysent pas leur contenu et une action sur un téléphone portable peut contourner les protections de l’entreprise.

Un troisième exemple démontre une grande sophistication. Le faux événement utilise non seulement des déclencheurs psychologiques tels que l’urgence et la peur de perdre (“Votre domaine company.com.br expire dans 48 heures”), mais bloque également la semaine entière dans le calendrier de la victime sous le titre “INTERRUPTION DE SERVICE”. Pour accroître la crédibilité, la liste des participants à l’événement comprend des invités fictifs portant des noms génériques tels que « Administrateur » et « Support informatique », simulant l’implication d’autres secteurs de l’entreprise.

La charge malveillante de cette attaque est un fichier HTML joint qui, une fois ouvert, exécute un kit de phishing complet

localement sur l’ordinateur de la victime, créant une fausse page Microsoft Domain Services dans le répertoire temporaire, ce qui rend la détection plus difficile pour les filtres réseau.

Mesures d’atténuation pour protéger les comptes d’entreprise

Il est essentiel que les entreprises et les utilisateurs vérifient les paramètres de sécurité de leurs comptes. Vous pouvez configurer Google Workspace et Microsoft 365 pour bloquer les invitations automatiques, exigeant une confirmation de l’utilisateur avant de créer l’événement de calendrier.

Ce simple changement de configuration constitue le moyen le plus efficace d’atténuer le risque de phishing ICS, en garantissant que l’événement malveillant ne se matérialise pas dans l’agenda même si l’e-mail n’est pas complètement intercepté par la passerelle de sécurité. La sensibilisation des employés à la nature de l’attaque est un complément crucial.

La faille de sécurité exploitée dans ICS

Le succès du phishing via les invitations de calendrier est dû à l’aveuglement des systèmes de défense par rapport au backend des plateformes de productivité. Les criminels ont exploité une faille dont la plupart des entreprises ignoraient l’existence, transformant un outil de productivité en un vecteur d’attaque persistant et difficile à supprimer. Il est urgent d’adopter de nouvelles stratégies de cybersécurité qui surveillent activement les services de calendrier pour neutraliser cette menace en évolution.